Gemäß Artikel 28 DSGVO sind wir verpflichtet, Ihnen vorab mitzuteilen, welche Unterauftragsverarbeiter wir einsetzen, und Ihnen die faire Möglichkeit zu geben, Widerspruch einzulegen, bevor ein neuer Auftragsverarbeiter mit der Verarbeitung Ihrer Daten beginnt. Die untenstehende Tabelle ist die maßgebliche Liste. Wir aktualisieren sie, sobald wir einen Anbieter hinzufügen, ersetzen oder entfernen, und benachrichtigen alle Abonnenten der Änderungsliste mindestens 14 Tage vor dem Start eines neuen Anbieters.
Auftragsverarbeiter
Die Unternehmen, denen wir Kundendaten anvertrauen.
Eine vollständige, öffentliche Liste aller Drittdienste, die personenbezogene Daten im Auftrag von Veracly verarbeiten, was sie tun, wo sie laufen und welche Daten sie berühren.
Zuletzt aktualisiert: 2026-08-21
Clerk, Inc.
ZweckAuthentifizierung, Sitzungsverwaltung, MFA und Benutzerprofil-Oberfläche.
DatenkategorienName, E-Mail, Passwort-Hash, MFA-Faktoren, Login-IP, Geräte-Fingerprint.
Infrastruktur-RegionUnited States (multi-region) · EU residency on request
ÜbermittlungsmechanismusEU-Standardvertragsklauseln (Modul 2/3, 2021) sowie das EU-US Data Privacy Framework, sofern der Anbieter selbst zertifiziert ist. Zusätzliche Schutzmaßnahmen: Verschlüsselung in der Übertragung (TLS 1.3) und im Ruhezustand (AES-256), Zugriffsprotokollierung und vertragliche Datenresidenz-Zusagen, soweit angeboten.
Gültig ab2026-04-27
Hetzner Online GmbH
ZweckCloud-Infrastruktur, Anwendung, API, Hintergrund-Worker, PostgreSQL-Datenbank und S3-kompatibler Objektspeicher.
DatenkategorienAlle Dienstdaten ruhend und in Übertragung (Kontodaten, Scan-Befunde, erzeugte Berichte), in der EU gehostet.
Infrastruktur-RegionHelsinki, Finland (EU)
ÜbermittlungsmechanismusVerarbeitung innerhalb des EWR, keine grenzüberschreitende Übermittlung.
Gültig ab2026-07-18
Mistral AI SAS
ZweckKI-Texterstellung für verständliche Befund-Erläuterungen, Zusammenfassungen, Behebungsvorschläge und Übersetzungen in Scan-Berichten.
DatenkategorienNur technische Verstoßdaten und ein kurzer HTML-Ausschnitt des markierten Elements, keine Konto-, Kontakt- oder Abrechnungsdaten.
Infrastruktur-RegionFrance (EU)
ÜbermittlungsmechanismusVerarbeitung innerhalb des EWR, keine grenzüberschreitende Übermittlung.
Gültig ab2026-07-18
Resend, Inc.
ZweckTransaktions-E-Mail-Versand, Verifizierungs-, Scan-Abschluss-, Rechnungs- und Datenschutz-E-Mails.
DatenkategorienEmpfängername, E-Mail, Nachrichtentext und -kopfzeilen, Zustelltelemetrie (Bounces, Öffnungen).
Infrastruktur-RegionUnited States · Frankfurt edge processing
ÜbermittlungsmechanismusEU-Standardvertragsklauseln (Modul 2/3, 2021) sowie das EU-US Data Privacy Framework, sofern der Anbieter selbst zertifiziert ist. Zusätzliche Schutzmaßnahmen: Verschlüsselung in der Übertragung (TLS 1.3) und im Ruhezustand (AES-256), Zugriffsprotokollierung und vertragliche Datenresidenz-Zusagen, soweit angeboten.
Gültig ab2026-04-27
Stripe Payments Europe, Ltd.
ZweckZahlungsabwicklung, Abonnementabrechnung, Rechnungsstellung und Steuerdokumente.
DatenkategorienRechnungsadresse, Name, E-Mail, USt-IdNr./ABN, Kartenendziffern, Zahlungsmethoden-Token, Transaktionshistorie.
Infrastruktur-RegionIreland (EU) · United States (cross-border for fraud detection)
ÜbermittlungsmechanismusEU-Standardvertragsklauseln (Modul 2/3, 2021) sowie das EU-US Data Privacy Framework, sofern der Anbieter selbst zertifiziert ist. Zusätzliche Schutzmaßnahmen: Verschlüsselung in der Übertragung (TLS 1.3) und im Ruhezustand (AES-256), Zugriffsprotokollierung und vertragliche Datenresidenz-Zusagen, soweit angeboten.
Gültig ab2026-04-27
Prighter EU Rep GmbH · Prighter Ltd
ZweckVertreter nach Art. 27 DSGVO und Art. 27 UK-DSGVO. Nimmt Betroffenenanfragen und Korrespondenz von Aufsichtsbehörden für uns entgegen und stellt das Vertretungszertifikat bereit, das auf unseren Rechtsseiten angezeigt wird.
DatenkategorienIdentitäts- und Kontaktdaten, die Sie in einer Betroffenenanfrage angeben, sowie deren Inhalt. Da das Vertretungszertifikat von deren Domain geladen wird, werden beim Aufruf einer unserer Rechtsseiten außerdem Ihre IP-Adresse und Browser-Metadaten an sie übermittelt.
Infrastruktur-RegionVienna, Austria (EU) · London, United Kingdom
ÜbermittlungsmechanismusEWR (keine Übermittlung) · Vereinigtes Königreich — Angemessenheit
Gültig ab2026-04-30
Auf Anfrage
„Gültig ab“ ist das Datum, an dem der Anbieter begonnen hat, personenbezogene Daten in unserem Auftrag zu verarbeiten. Für Anbieter, die bereits beim Aufbau von Veracly beauftragt waren, nennen wir den 27. April 2026, das Datum des frühesten Eintrags in unserer Quellcode-Historie. Prighter EU Rep GmbH und Prighter Ltd wurden am 21. August 2026 in diese Liste aufgenommen; sie sind seit dem 30. April 2026 unsere Vertreter nach Art. 27 DSGVO und fehlten in früheren Fassungen dieser Seite irrtümlich.
Frühere Auftragsverarbeiter
Anbieter, die wir nicht mehr einsetzen. Wir behalten diesen Nachweis, statt die Zeile zu löschen, denn ein Verantwortlicher muss feststellen können, wann ein Anbieter die Verarbeitung eingestellt hat und wann dessen gespeicherte Kopie vernichtet wurde. Ein abgeschalteter Dienst, der noch eine Datenbank vorhält, bleibt Auftragsverarbeiter. Entscheidend ist daher das Löschdatum.
| Anbieter | Rolle | Verarbeitung beendet | Kopie gelöscht |
|---|---|---|---|
| Amazon Web Services, Inc.United States | Object storage (report PDFs, evidence) | 2026-07-18 | Löschung läuft |
| Anthropic, PBCUnited States | AI inference (report wording) | 2026-07-18 | Löschung läuft |
| Railway Corp.United States | API and worker hosting | 2026-07-18 | 2026-07-19 |
| Supabase, Inc.United States | Managed PostgreSQL (application database) | 2026-07-18 | 2026-07-19 |
| Upstash, Inc.United States | Managed Redis (job queue) | 2026-07-18 | Löschung läuft |
| Vercel Inc.United States | Web hosting and edge network | 2026-07-18 | 2026-07-19 |
So benachrichtigen wir Sie über Änderungen
Wenn wir einen neuen Unterauftragsverarbeiter hinzufügen möchten, werden wir: (1) diese Seite aktualisieren, (2) alle Abonnenten der Änderungsliste per E-Mail informieren und (3) mindestens 14 Kalendertage warten, bevor der neue Anbieter mit der Verarbeitung Ihrer Daten beginnt. Wenn Sie widersprechen, suchen wir nach einer Alternative; ist keine möglich, können Sie den betroffenen Dienst mit anteiliger Erstattung bereits gezahlter Entgelte kündigen, wie im Auftragsverarbeitungsvertrag geregelt.
Bleiben Sie informiert
Erhalten Sie eine Benachrichtigung bei Änderungen.
Schreiben Sie an privacy@veracly.app und bitten Sie um Aufnahme in die Änderungsliste. Wir benachrichtigen Sie mindestens 14 Tage vor dem Start eines neuen Anbieters.